Table of Contents
13 Armazenamento de segredos
Visão geral
O Zabbix pode ser configurado para recuperar informações confidenciais de um cofre seguro. Os seguintes serviços de gerenciamento de segredos são suportados: HashiCorp Vault KV Secrets Engine - Versão 2, CyberArk Vault CV12.
Os segredos podem ser usados para recuperar:
- valores de macros de usuário
- credenciais de acesso ao banco de dados
O Zabbix fornece acesso somente leitura aos segredos em um cofre, assumindo que os segredos são gerenciados por outra pessoa.
Para obter informações sobre a configuração de um provedor de cofre específico, consulte:
Cache de valores secretos
Por padrão, os valores de macros secretas do vault são recuperados pelo Zabbix server a cada atualização dos dados de configuração e, em seguida, armazenados no cache de configuração. O Zabbix proxy recebe os valores das macros secretas do vault do Zabbix server em cada sincronização de configuração e os armazena em seu próprio cache de configuração.
A criptografia deve estar habilitada entre o Zabbix server e o proxy; caso contrário, uma mensagem de aviso do server será registrada.
Também é possível configurar para que os valores das macros sejam recuperados pelo Zabbix server e pelo Zabbix proxy de forma independente.
Para acionar manualmente a atualização dos valores secretos em cache a partir de um vault, use a opção de linha de comando 'secrets_reload' option.
Para o cache das credenciais do banco de dados do Zabbix frontend, o cache é desabilitado por padrão, mas pode ser habilitado definindo a opção $DB['VAULT_CACHE'] = true no zabbix.conf.php. As credenciais serão armazenadas em um cache local usando o diretório de arquivos temporários do sistema de arquivos. O servidor web deve permitir gravação em uma pasta temporária privada (por exemplo, para o Apache, a opção de configuração PrivateTmp=True deve ser definida). Para controlar com que frequência o cache de dados é atualizado/inválido, use a constante ZBX_DATA_CACHE_TTL constant.
Configuração do TLS
Para configurar o TLS para comunicação entre os componentes do Zabbix e o vault, adicione um certificado assinado por uma autoridade certificadora (CA) ao repositório padrão de CA do sistema. Para usar outro local, especifique o diretório no parâmetro de configuração SSLCALocation do Zabbix server/proxy, coloque o arquivo de certificado dentro desse diretório e execute o comando CLI: